LA LOGICA DI HOARE. Corso di Logica per la Programmazione A.A. 2010/11 Andrea Corradini, Paolo Mancarella

Transcript

1 LA LOGICA DI HOARE Corso di Logica per la Programmazione A.A. 2010/11 Andrea Corradini, Paolo Mancarella

2 INTRODUZIONE Dall inizio del corso ad ora abbiamo introdotto, un po alla volta, un linguaggio logico sempre più ricco: connettivi logici (Calcolo Proposizionale) termini e quantificatori (Logica del Primo Ordine) uguaglianza e disuguaglianze insiemi e intervalli quantificatori funzionali Per ognuna di queste estensioni abbiamo presentato: la sintassi con grammatiche in BNF la semantica (tabelle di verità, interpretazioni e modelli) esempi di formalizzazione di enunciati alcune leggi, e esempi di dimostrazioni

3 SUI LINGUAGGI DI PROGRAMMAZIONE In questa parte finale del corso sfruttiamo la logica introdotta per fornire una semantica formale di un semplice linguaggio di programmazione imperativo Perché? La presentazione di un linguaggio di programmazione di solito consiste nel dare la sintassi e una semantica Sintassi spesso fornita con strumenti formali es. grammatica in BNF Semantica spesso data in modo informale tipicamente di stile operazionale comprensibile per non esperti ma lascia spazio a ambiguità non sufficiente per applicazioni critiche

4 NECESSITA DI UNA SEMANTICA FORMALE A volte è necessario dimostrare proprietà relative a programmi Software per controllo di centrali nucleari, di armamenti, di apparecchiature mediche, software/protocolli per e-banking, per gestione carte di credito,... Sono state proposte varie semantiche formali tra cui: operazionale, definendo struttura degli stati e transizioni di stato denotazionale, con domini semantici e funzioni di interpretazione per i costrutti del linguaggio (come quella del C a LPR) assiomatica, annotando un programma con asserzioni (formule) e poi dimostrandone la correttezza con proof rules. Noi vedremo la semantica assiomatica di Hoare [1969] - Dijkstra [1976]

5 COSA VEDREMO... Presentiamo dapprima le espressioni (a valori interi e booleani) sintassi con grammatica BNF semplice semantica in stile denotazionale Quindi presentiamo i comandi (skip, assegnamento, condizionale, iterazione) sintassi con grammatica BNF semantica operazionale informale Poi introduciamo le Triple di Hoare che permettono di annotare un programma con asserzioni definiremo quando una tripla è soddisfatta vedremo regole di inferenza per dimostrare che una tripla è soddisfatta (usando induzione strutturale sul programma)

6 LINGUAGGIO IMPERATIVO MINIMO Espressioni: Exp ::= Const Ide (Exp) Exp Op Exp not Exp Op ::= + - * div mod = < > or and Const ::= Num Bool Bool ::= true false Num ::= Comandi: Com ::= skip Ide_List := Exp_List Com ; Com if Exp then Com else Com fi while Exp do Com endw Ide_List ::= Ide Ide, Ide_List Exp_List ::= Exp Exp, Exp_List

7 LO STATO DI UN PROGRAMMA Modelliamo uno stato di un programma come una funzione da identificatori di variabile a valori (booleani e interi) σ : Ide Β Ζ Poiché in uno stato l insieme delle variabili è finito, una tipica rappresentazione è σ = {<x,18>, <y,true>, <z,-8>} con E(e,σ) indichiamo il valore dell espressione e nello stato σ E(_,_) : funzione di interpretazione semantica Esempi nello stato precedente E(x+z, σ) = 10 E(y, σ) = true

8 SEMANTICA DELLE ESPRESSIONI La funzione di interpretazione semantica è definita in modo induttivo come segue: Si noti che E(_,_) è una funzione parziale (es: E(x div 0,s))

9 SIGNIFICATO INFORMALE DEI COMANDI L'esecuzione di skip a partire dallo stato σ porta nello stato σ L'esecuzione dell'assegnamento x1,..., xn := E1,..., En a partire dallo stato σ porta nello stato σ[e(e1,σ)/x1,..., E(En,σ)/xn] L'esecuzione di C;C' a partire dallo stato σ porta nello stato σ' ottenuto eseguendo C' a partire dallo stato σ'' ottenuto dall'esecuzione di C nello stato σ. L'esecuzione di if E then C else C' fi a partire da σ porta nello stato σ' che si ottiene dall'esecuzione di C in σ, se E(E,σ)= tt, e dall'esecuzione di C' in σ, se E(E,σ)= ff L'esecuzione del comando while E do C endw a partire da σ porta in σ se E(E,σ)= ff, altrimenti porta nello stato σ' ottenuto dall'esecuzione di while E do C endw a partire dallo stato σ'' ottenuto con l'esecuzione di C nello stato σ.

10 TRIPLE DI HOARE Una Tripla di Hoare ha la forma {Q} C {R} dove C è un comando, mentre Q e R sono asserzioni, ovvero formule ben formate (della logica del primo ordine estesa come visto) in cui possono comparire le variabili dello stato Il dominio di interpretazione delle asserzioni è l insieme di tutti gli stati Significato intuitivo: la tripla {Q} C {R} è soddisfatta se a partire da uno stato che soddisfi Q, l esecuzione del comando C termina in uno stato che soddisfa R Es: {x>1} x := x + 1 {x>2}

11 NOTAZIONE free(p) è l insieme delle variabili libere nell asserzione P p.e. free( x > y z 1) = {x, y, z} Sia P un asserzione e σ uno stato. P σ indica l asserzione P istanziata sullo stato σ, ovvero in cui a tutte le variabili sono sostituiti i loro valori nello stato Poiché l interpretazione del linguaggio delle asserzioni è fissata, dato uno stato si può valutare l asserzione p.e. σ = {<x, 18>, <y, true>, <z, -8>} P = (x > 0 z < 0) P σ = (18 > 0-8 < 0) T

12 PROPRIETÀ σ P (lo stato σ soddisfa l asserzione P) sse P σ T Con indichiamo la non soddisfazione Con {P} indichiamo l insieme degli stati che soddisfano P Sia E una espressione, P un asserzione. Valgono le seguenti proprietà: Se per ogni x free(e), σ(x) = σ (x) allora E(E, σ) = E(E, σ ) Se per ogni x free(p), σ(x) = σ (x) allora σ P se e solo se σ P Per ogni variabile x σ[e(e, σ) /x] P se e solo se σ P[E/x]

13 GENERALITÀ SULLE TRIPLE DI HOARE Data la tripla di Hoare {Q} C {R} Q è detta precondizione R è detta postcondizione La tripla è soddisfatta se dato uno stato σ che soddisfa Q: 1. L esecuzione del comando C a partire dallo stato σ termina producendo uno stato σ 2. Lo stato σ soddisfa R

14 INTERPRETAZIONE DELLE TRIPLE DI HOARE (1) Semantica: dati Q e C, determinare R in modo che sia soddisfatta {Q} C {R} è un modo per descrivere il comportamento di C. Per esempio sia Q {x>10} e C if (x < 10) then x := 1 else x :=2 fi allora R {x = 2} descrive il comportamento del comando Correttezza: dati Q, C ed R, dimostrare che la tripla {Q} C {R} è soddisfatta corrisponde ad una dimostrazione di correttezza del comando C rispetto alla pre e alla postcondizione

15 INTERPRETAZIONE DELLE TRIPLE DI HOARE (2) Specifica. Data una precondizione Q e una postcondizione R determinare un comando C che soddisfa la tripla {Q} C {R} equivale a scrivere il programma che realizza le specifiche Q ed R. Per esempio le specifiche Q {x > 0} e R {y = 2 x } possono essere soddisfatte dal comando y := x * 2 oppure dal comando y := x + x oppure dal comando y := x; y := y * 2 ecc..

16 SISTEMA DI PROVA: ALCUNE REGOLE DI INFERENZA (pre-post o conseguenza) P P' {P'} C {R'} R' R {P} C {R} (pre) P P' {P'} C {R} {P} C {R} (post) {P} C {R'} R' R {P} C {R} La correttezza di queste regole segue dalle definizioni

17 ASSIOMI PER SKIP E ASSEGNAMENTO Assioma per il comando vuoto (skip) {P} skip {P} Assioma per l assegnamento (semplice) {def(e) P[E/x]} x := E {P} dove def(e) è vera se il calcolo dell espressione E è ben definito, ovvero termina senza errori (p.e. divisioni per zero, out of bound per gli array ecc.). L idea è che affinché l asserzione P sia soddisfatta dopo l assegnamento, la stessa asserzione deve essere soddisfatta dallo stato precedente l assegnamento quando all identificatore di variabile è sostituita l espressione.

18 DEFINIZIONE DI ESPRESSIONI Introduciamo, per induzione strutturale, la funzione def(e) che, applicata a un'espressione E, restituisce una asserzione tale che σ def(e) se esiste v tale che E(E, σ) = v.

19 ASSIOMA PER ASSEGNAMENTO MULTIPLO L assioma per l assegnamento multiplo generalizza quello per l'assegnamento singolo Tutte le espressioni vengono valutate PRIMA di tutti gli assegnamenti Come vedremo, gli assiomi per l assegnamento semplice e multiplo sono molto utili per propagare all indietro le asserzioni in una sequenza di comandi.

20 UNA UTILE REGOLA PER L ASSEGNAMENTO Combinando la regola (pre) con l assioma per l assegnamento semplice, si ottiene la seguente utile regola: R def(e) P[E/x] {R} x := E {P} ESEMPI: Verificare le seguenti triple: {x = 5} x := x + 1 {x > 2} {s = (Σ i [0, x). i} x,s := x+1, s+x {s = (Σ i [0, x). i}

21 REGOLA PER LA SEQUENZA DI COMANDI Sequenza {P} C {R} {R} C' {Q} {P} C ;C' {Q} ESEMPI: Si verifichi la seguente tripla {x >= y - 1} x := x+1; y := y - 1 {x > y} Determinare E affinché la seguente tripla sia corretta {x = n y = m} t := E; x := y; y:= t {x = m y = n}

22 REGOLA PER IL COMANDO CONDIZIONALE Condizionale P def(e) {P E} C {Q} {P E} C' {Q} {P} if E then C else C' fi {Q} Esempio: si verifichi la seguente tripla: {x >= 0 y > 0} if x div y > 0 then z := x else z := y fi {z = max(x, y)}

23 REGOLA PER IL COMANDO ITERATIVO While P Inv def(e) Inv E Q Inv t 0 {Inv E} C {Inv def(e)} {Inv E t =V} C {t <V} {P} while E do C endw {Q} Dove t Inv è una funzione di terminazione è un asserzione invariante